De kernelcode van Linux is niet veilig genoeg volgens Google. Verouderde tools gecombineerd met een personeelstekort van ruwweg 100 ontwikkelaars zorgen voor een veelvoud aan bugs.
De beveiliging en stabiliteit van de Linux-kernel wordt verkeerd aangepakt volgens Kees Cook van het Google Open Source Security Team. Het enorme opensource-project steunt vandaag op een ad hoc-aanpak, waarbij bugs doorgaans op individuele basis worden opgelost. Dat gebeurt aan een hoog tempo, maar het is dweilen met de kraan open. In het Stable kernel release-kanaal, waar op frequente basis bugfixes worden uitgerold zonder impact op de functionaliteit, verschijnen ongeveer 100 nieuwe fixes per week.
Het resultaat is een vrijwel onhaalbaar scenario voor organisaties. Zij worden geconfronteerd met een veelvoud aan oplossingen voor mogelijke stabiliteits- en beveiligingsproblemen. De updates voor de kernel kunnen echter allemaal compatibiliteitsproblemen veroorzaken in een IT-omgeving, waardoor de implementatie ervan veel tijd en moeite kost.
Organisaties kunnen kiezen om te wachten op grote releases maar zo blijven ze onveilig. Enkel de belangrijkste patches doorvoeren helpt, maar er zijn zoveel bugs dat ze niet allemaal CVE-ratings hebben en het dus moeilijk is de ernst in te schatten. Alle bugfixes implementeren is de juiste oplossing, maar organisaties hebben niet de mankracht of capaciteit om alles voldoende te testen.
Meer ingenieurs
De oplossing: meer ingenieurs inzetten om bugs op een vroeger moment in de ontwikkelingsketting te vinden en plat te trappen. Vandaag zetten tien verschillende bedrijven ieders ingenieurs in om een bepaalde fix te implementeren. Werken die tien ingenieurs upstream aan Linux, dan zouden ze tien verschillende problemen voor iedereen kunnen oplossen.
Google pleit dus voor meer Linux-experts upstream om de code netjes te houden. Extra tools zouden ook helpen. Linux vertrouwt vandaag op de C-programmeertaal met alle bijhorende problemen. Rust kan een veiliger alternatief zijn. Bovendien berust de workflow voor Linux-ontwikkeling vandaag exclusief op mail. Ook dat kan efficiënter.
Grote organisaties zoals Google zelf maar ook Amazon draaien op Linux. Zij halen bovendien op kwartaalbasis miljarden aan winst binnen. Techreuzen kunnen het probleem dus zelf oplossen door voldoende ontwikkelaars upstream in het ontwikkelingsproces te plaatsen. Google kondigde eerder dit jaar aan dat het twee full time ontwikkelaars sponsort die upstream aan kernelbeveiliging werken, al lijkt dat een druppel op een hete plaat.